Sigurnost

Prijava ranjivosti

Gdje je poslati, šta navesti i naša obaveza da ne pokrećemo postupke protiv istraživanja u dobroj vjeri.

Sigurnosne prijave šaljite na security@afer.app. To je jedna adresa, koju čitaju ljudi koji mogu otkloniti problem. Pišite jednostavnim jezikom; funkcionalan dokaz vrijedi više od dugog opisa. Dobit ćete odgovor kojim potvrđujemo prijem i jednu osobu kao kontakt sve do zatvaranja problema. Ako e-mail nije opcija, možete koristiti i obrazac za zahtjeve podršci na ovoj stranici.

• šta ste pronašli i šta bi neko mogao s tim učiniti
• gdje se nalazi: adresa, aplikacija i njena verzija, platforma
• korake za reprodukciju, redom
• snimke ekrana, kratak video ili zahtjeve i odgovore
• ime ili nadimak pod kojim želite biti navedeni, ili nijedno

Ako istražujete u dobroj vjeri i ostanete u okviru opsega navedenog u nastavku, nećemo protiv Vas pokretati pravne postupke zbog testiranja, tražiti od drugih da to učine niti Vas zbog toga prijavljivati. Ako Vam je potrebno, to ćemo potvrditi i pisanim putem. Dobra vjera znači da koristite vlastite račune, uzimate samo podatke potrebne za dokazivanje nalaza, prestajete čim imate dokaz i dajete nam vremena da problem otklonimo prije nego što ga objavite.

To obećanje prestaje tamo gdje prestaje istraživanje. Iznuda, prijetnje, prodaja nalaza, mijenjanje ili brisanje tuđih podataka i korištenje računa u koji ste provalili nisu istraživanje i tretiramo ih kao prevaru. Također ne možemo govoriti u ime drugih. Ako Vaše testiranje zahvati uslugu kojom ne upravljamo, primjenjuju se pravila tog pružaoca. Svejedno nam javite, a mi ćemo proslijediti ono što možemo.

Opseg

Koje aplikacije, domene i API-ji su obuhvaćeni, a šta nije.

Obuhvaćeno: afer.app i stranice koje se poslužuju pod tom domenom, aplikacija Afër za iOS i Android, aplikacija za trgovce, aplikacija za vozače i javni API na kojem sve one rade. Ako do nečega može doći običan korisnik, trgovac ili vozač, želimo znati za to. To uključuje i dijelove stranice koji primaju Vaš unos, kao što su obrazac za zahtjeve podršci, baner za pristanak i kolačić za jezik.

• društveni inženjering usmjeren na naše osoblje, trgovce, vozače, kurire ili korisnike
• fizički napadi na urede, vozila, uređaje ili ljude
• uskraćivanje usluge (DoS), testiranje opterećenja ili bilo šta što narušava rad usluge uživo
• prijave koje su samo rezultat automatskog skenera, bez dokazanog uticaja
• usluge kojima ne upravljamo, uključujući prodavnice aplikacija i našeg pružaoca platnih usluga

Testirajte na vlastitim računima i vlastitim podacima. Nemojte praviti stvarnu narudžbu, tražiti stvarnu vožnju niti naručivati inspekciju da biste nešto dokazali, i nemojte gurati aktivnog trgovca u posao koji ga košta novca. Nemojte čitati tuđi chat, potvrdu o plaćanju ili evidenciju vožnje; maskirani brojevi telefona ostaju maskirani. Ako se nalaz može pokazati samo pomoću tuđih podataka, stanite tu i opišite ga, a mi ćemo s Vama postaviti testni račun.

Rokovi odgovora

Potvrda prijema, trijaža i ciljani rokovi za otklanjanje.

Svaku prijavu poslanu na security@afer.app potvrđujemo u roku od dva radna dana, a trijažu završavamo u roku od pet. Trijaža Vam daje tri stvari: stepen ozbiljnosti, odluku o tome da li je nalaz obuhvaćen opsegom i ime osobe koja ga obrađuje. Ako problem ne možemo reproducirati, to Vam kažemo i pitamo šta smo propustili, umjesto da ga tiho zatvorimo. I duplikate potvrđujemo i navodimo koja je prijava stigla prva. Rokovi u nastavku su ciljevi prema kojima radimo, a ne garancije.

• kritična, poput preuzimanja računa ili kretanja novca bez pristanka: problem se odmah ograničava i otklanja u roku od sedam dana
• visoka: otklanja se u roku od trideset dana
• srednja: otklanja se u roku od devedeset dana
• niska: otklanja se u redovnom izdanju, a mi Vam javljamo u kojem
• svaki cilj koji ćemo propustiti: javljamo Vam prije nego što rok istekne, s novim datumom

Ovi rokovi su odvojeni od onih po kojima radi podrška. Podrška nastoji na sigurnosne prijave odgovoriti u roku od jednog sata, danju i noću, na plaćanja i povrate novca istog radnog dana, a na sve ostalo u roku od jednog radnog dana. Ako ono što ste pronašli upravo sada dovodi određenu osobu u opasnost, ne čekajte u redu za sigurnosne prijave. Koristite SOS u aplikaciji ili pišite na support@afer.app i navedite da je hitno.

Sigurnost računa

Potvrda broja telefona, upravljanje sesijama i šta od Vas nikada nećemo tražiti.

Vaš račun je vezan za Vaš broj telefona. Pri prijavi se na taj broj šalje jednokratni kod, a novi uređaj mora dobiti novi kod prije nego što išta vidi. Sesije ostaju otvorene na uređajima koje ste već odobrili, pa je dobro znati koji su to telefoni. Brisanje računa u Postavkama zatvara i te sesije te uklanja Vaš profil i lične podatke.

• jednokratni kod poslan na Vaš telefon, nikada i ni iz kojeg razloga
• lozinku, jer je račun ne koristi
• puni broj Vaše kartice, u chatu, e-mailom ili telefonom
• uplatu kako bismo oslobodili povrat novca, isplatu ili stanje u novčaniku
• daljinski pristup Vašem telefonu ili dijeljenje ekrana s Vašim novčanikom

Ko god traži nešto od toga, to nismo mi, bez obzira na to šta pokazuje prikaz broja pozivaoca ili logotip. Prava podrška obraća Vam se putem Pomoći u aplikaciji, putem support@afer.app ili kao odgovor na zahtjev koji ste otvorili na stranici, uz referentni kod koji ste dobili. Ako Vas neko nazove predstavljajući se kao Afër i zatraži Vaš kod, prekinite poziv i javite nam.

Javite nam što prije ako izgubite telefon, izgubite broj ili vidite plaćanje koje niste izvršili. Račun možemo suspendovati dok provjeravamo, a na probleme s plaćanjem odgovaramo istog radnog dana. Potvrđena prevara spušta indeks povjerenja tog profila na nulu i dovodi do zatvaranja računa. Indeks se gradi na osnovu provjere, završenih transakcija, ocjena, starosti računa i uspješnih inspekcija, a nosilac računa ga ne može mijenjati.

Sigurnost plaćanja

Kako se postupa sa stanjem u novčaniku i dopunama karticom te kako funkcioniše jednokratni QR kod.

Novčanik je unaprijed uplaćen i sve usluge se obračunavaju s istog stanja. To je namjerno ograničenje: najviše do čega bilo ko može doći putem aplikacije jeste iznos koji ste uplatili, a ne bankovni račun iza njega. Dopune karticom idu preko našeg pružaoca platnih usluga. Uplaćeni novac može se vratiti samo na karticu s koje je došao, nikada na bankovni račun niti na drugu karticu, a zarada se isplaćuje samo na registrovani bankovni račun osobe koja ju je zaradila, nikada na račun koji Vam neko da u chatu.

Plaćanje lično na kasi koristi jednokratni QR kod prikazan u aplikaciji za trgovce. Kod nosi jedno plaćanje, za taj iznos, i poništava se čim se iskoristi, pa fotografija ekrana nakon toga ne vrijedi ništa. Niko ko radi putem Afëra ne smije tražiti od Vas novac izvan aplikacije: tamo gdje se prihvata gotovina na vratima, predajete tačno iznos koji aplikacija prikazuje, i ništa više.

Svako plaćanje ostavlja detaljnu potvrdu u novčaniku, s naknadom posebno iskazanom, pa je naplatu koju ne prepoznajete lako uočiti. Za otvaranje spora imate 14 dana od narudžbe, vožnje ili kupovine, a za sigurnosnu prijavu ili novac koji još zadržavamo rok uopće ne postoji. Dok je slučaj otvoren, iznos se zadržava, a ne isplaćuje, a povrat novca vraća se na stanje novčanika s kojeg je plaćeno, obično u roku od nekoliko minuta od odluke.

Zaštita podataka

Enkripcija tokom prenosa i pri čuvanju, kontrola pristupa i evidencija pristupa.

Promet između Vašeg uređaja i Afëra enkriptovan je tokom prenosa, a ono što čuvamo enkriptovano je i tamo gdje se čuva: podaci o računu, evidencija transakcija, podaci o uređaju, poruke podršci i lokacija koju prikupljamo dok usluga traje. Prikupljanje lokacije prestaje kada se usluga završi. Lične podatke ne stavljamo u web adrese niti u bilo šta što bi inače završilo u rutinskom zapisniku.

Unutar Afëra pristup se dodjeljuje prema ulozi i potrebi. Agent koji rješava Vaš slučaj vidi narudžbu, vožnju ili oglas priložen uz njega, a ne podatke o Vašoj kartici niti slučajeve kolega. Pristup sistemima koji sadrže lične podatke evidentira se, a zapisi se pregledaju. Kada uposlenik otvori zapis koji nije imao razloga otvoriti, to se tretira kao sigurnosni incident, a ne kao propust.

• izvezite sve što ste nam dali, u mašinski čitljivoj datoteci
• izbrišite račun u Postavkama, a s njim i profil i lične podatke
• evidencija transakcija koju smo po zakonu dužni čuvati ostaje, bez Vaših kontakt podataka
• analitički kolačići na afer.app postavljaju se tek nakon što odaberete Prihvati
• afer_lang čuva dvoslovni kod jezika i ne koristi se za analitiku

Podaci poslani putem web obrasca čuvaju se s referentnim kodom, vremenom, približnom zemljom iz koje su poslani i IP adresom, koju koristimo za sprječavanje zloupotreba. Ispred obrasca možemo postaviti Cloudflare Turnstile kako bismo razlikovali ljude od botova. Podaci se čuvaju onoliko dugo koliko nam je potrebno za obradu Vašeg zahtjeva i najviše 24 mjeseca nakon toga.

Zahvale

Istraživači koji su ranjivosti prijavili odgovorno.

Istraživačima koji odgovorno prijave ranjivost odajemo priznanje, uz njihov pristanak i nikada bez njega. U prijavi nam navedite kako želite biti predstavljeni: imenom, nadimkom, nazivom kompanije ili nikako. Kasnije se možete predomisliti i mi ćemo ukloniti unos. Ne obećavamo plaćanje za prijavu i nećemo uskratiti priznanje zato što je nalaz za nas bio neugodan.

• ime ili nadimak koji je istraživač odabrao
• mjesec u kojem je prijava stigla do nas
• vrsta problema, opisana bez recepta za njegovo ponavljanje

Lista je otvorena i počinje prazna. Popunjava se kako ljudi prijavljuju ranjivosti, a unos se objavljuje kada je ispravka puštena u rad i kada se istraživač složi s tekstom. Ako ste nešto prijavili, a nema Vas na listi, ili ste na njoj i želite biti uklonjeni, pišite na security@afer.app i ispravit ćemo to u roku od jednog radnog dana.